Governance dell’IA
Governare l’IA non significa soltanto rispettare un regolamento: significa sapere in ogni momento quali sistemi sono in uso, che cosa decidono, chi ne risponde e quando occorre fermarli. La conformità viene dopo e si dimostra con ciò che questa governance produce.
Molte aziende si accorgono di dover governare la propria IA il giorno in cui qualcuno chiede chi abbia autorizzato una certa decisione. A quel punto ci sono già modelli in produzione che nessuno controlla e strumenti generativi usati con account personali.
Tre livelli, ciascuno fondato sul precedente
Non esistono agenti affidabili su modelli non governati, né modelli affidabili su dati non governati. La costruzione segue questo ordine.
- 01
Data governance
I dati di cui disponiamo sono affidabili?
Qualità, lineage, titolarità e accesso: chi è responsabile di ciascun dataset, da dove proviene e in quale stato si trova. È la base: ciò che non viene governato a questo livello si ripercuote su quelli superiori.
- 02
Governance del machine learning
Le conclusioni che ne traiamo sono ancora valide?
Inventario dei modelli, validazione preventiva concordata con il business, monitoraggio del drift, riaddestramento con possibilità di rollback e un responsabile per ciascun modello. Un modello non si guasta all’improvviso: perde accuratezza in silenzio, mentre continua a produrre numeri.
- 03
Governance dell’IA generativa e degli agenti
Che cosa dice e che cosa fa a nostro nome?
Quali dati possono uscire e verso quali destinazioni, che cosa può eseguire un agente senza approvazione umana, limiti di spesa, tracciabilità e trasparenza verso le persone. È il livello che quasi mai può attendere, perché il rischio non riguarda la precisione ma l’esposizione.
Le domande che devono avere una risposta certa
- Quanti sistemi di IA sono in produzione e che cosa decide ciascuno di essi.
- Chi risponde di ciascun sistema, con nome e ruolo.
- Quali dati entrano, da dove escono e fin dove possono circolare.
- Come si verifica che continuino a funzionare e quale soglia fa scattare la revisione.
- Che cosa si arresta automaticamente e che cosa richiede un’approvazione umana.
- Quanto costa ciascun sistema e chi ne gestisce il budget.
Se una di queste domande resta senza risposta, è da lì che parte il lavoro; spesso è anche la constatazione più scomoda dell’audit IA.
Governance e conformità non coincidono
La conformità risponde alle autorità di vigilanza: classificazione in base al rischio, documentazione tecnica, registrazioni e sorveglianza umana secondo il regolamento sull’IA (AI Act) e il GDPR. La governance risponde al business: che i sistemi facciano ciò che devono, che qualcuno ne risponda e che sia possibile fermarli.
L’ordine conta. Con i tre livelli in funzione, buona parte delle evidenze richieste dalla normativa esiste già e la conformità diventa un lavoro di documentazione. In loro assenza, quelle evidenze vanno prodotte in tempi stretti e a un costo molto più alto.
Il ruolo nella metodologia DALIA
La governance è l’ultima fase di DALIA — A · Adozione: governance, misurazione ed estensione — ed è quella che stabilisce se quanto implementato supera il primo anno. Le quattro fasi precedenti selezionano e avviano le iniziative; questa ne assicura la continuità.
Prima di tutto, l’inventario
Il punto di partenza non è una policy scritta, ma l’inventario reale di sistemi, dati e responsabili. Su questa base si decide che cosa governare per primo.